API 認(rèn)證
API 認(rèn)證
API Authentication
簡(jiǎn)介
默認(rèn)情況下，Laravel 為 API 認(rèn)證提供了一個(gè)簡(jiǎn)單的解決方案，它通過(guò)一個(gè)隨機(jī)令牌分配給應(yīng)用程序的每個(gè)用戶。在你的 config/auth.php 配置文件中，已經(jīng)定義了一個(gè)使用 token 驅(qū)動(dòng)的 api 看守器。 這個(gè)驅(qū)動(dòng)程序負(fù)責(zé)檢查傳入請(qǐng)求上的 API 令牌，并驗(yàn)證它是否匹配數(shù)據(jù)庫(kù)中用戶分配的令牌。
注意: 雖然 Laravel 附帶了一個(gè)簡(jiǎn)單的基于令牌的身份驗(yàn)證保護(hù)，但我們強(qiáng)烈建議您考慮 Laravel Passport 來(lái)實(shí)現(xiàn)提供 API 身份驗(yàn)證的健壯的生產(chǎn)應(yīng)用程序。
配置
數(shù)據(jù)庫(kù)準(zhǔn)備
在使用 token 驅(qū)動(dòng)程序之前，你需要 創(chuàng)建一個(gè)遷移 它會(huì)在你的 users 表中添加一個(gè) api_token 列：
Schema::table('users', function ($table) {
$table->string('api_token', 80)->after('password')
->unique()
->nullable()
->default(null);
});遷移創(chuàng)建后，運(yùn)行 migrate Artisan 命令。
令牌生成
將 api_token 列添加到你的 users 表之后，你可以將隨機(jī) API 令牌分配給應(yīng)用程序中的每個(gè)用戶。 在注冊(cè)期間創(chuàng)建 User 模型時(shí)，應(yīng)該分配這些令牌。 當(dāng)使用 make:auth Artisan 命令提供的 認(rèn)證腳手架 , 這可以在 RegisterController 的 create 方法中完成：
use Illuminate\Support\Str;use Illuminate\Support\Facades\Hash;
/**
* 在有效注冊(cè)之后創(chuàng)建一個(gè)新用戶實(shí)例：
*
* @param array $data
* @return \App\User
*/
protected function create(array $data){
return User::create([
'name' => $data['name'],
'email' => $data['email'],
'password' => Hash::make($data['password']),
'api_token' => Str::random(60),
]);
}哈希令牌
在上面的示例中，API 令牌以純文本的形式存儲(chǔ)在數(shù)據(jù)庫(kù)中。如果你希望使用 SHA-256 散列對(duì) API 令牌進(jìn)行散列， 你可以將 api 看守器配置的 hash 選項(xiàng)設(shè)置為 true 。 api 看守器在你的 config/auth.php 配置文件中定義：
'api' => [ 'driver' => 'token', 'provider' => 'users', 'hash' => true, ],
生成哈希令牌
使用哈希令牌時(shí)， 你不應(yīng)該在用戶注冊(cè)期間生成 API 令牌。 相反， 你需要在應(yīng)用程序中實(shí)現(xiàn)自己的 API 令牌管理頁(yè)面。 這個(gè)頁(yè)面應(yīng)該允許用戶初始化和刷新其 API 令牌。 當(dāng)用戶發(fā)出初始化或者刷新令牌請(qǐng)求時(shí)，你應(yīng)該在數(shù)據(jù)中存儲(chǔ)令牌的哈希副本，并將令牌的純文本副本返回到視圖 / 前端客戶端進(jìn)行一次顯示。
例如，為給定用戶初始化 / 刷新令牌并將純文本令牌作為 JSON 響應(yīng)返回的控制器方法可能如下所示：
<?php
namespace App\Http\Controllers;
use Illuminate\Support\Str;
use Illuminate\Http\Request;
class ApiTokenController extends Controller{
/**
* 更新已經(jīng)驗(yàn)證過(guò)的用戶的 API 令牌。
*
* @param \Illuminate\Http\Request $request
* @return array
*/
public function update(Request $request)
{
$token = Str::random(60);
$request->user()->forceFill([
'api_token' => hash('sha256', $token),
])->save();
return ['token' => $token];
}
}{tip} 因?yàn)樯厦胬又械?API 令牌具有足夠的熵，創(chuàng)建一個(gè) "rainbow tables" 來(lái)查找散列令牌的原始值是不切實(shí)際的。 因此，不需要使用
bcrypt之類的慢散列方法：
路由保護(hù)
Laravel 包含一個(gè) 身份認(rèn)證看守器 可以自動(dòng)驗(yàn)證傳入請(qǐng)求的 API 令牌。 你只需要在任何需要有效訪問(wèn)令牌的路由上指定 auth:api 中間件：
use Illuminate\Http\Request;
Route::middleware('auth:api')->get('/user', function(Request $request) {
return $request->user();
});請(qǐng)求中傳遞令牌
有幾種方法可以將 API 令牌傳遞給你的應(yīng)用程序。 我們將在使用 Guzzle HTTP 庫(kù)演示其用法時(shí)去討論這些方法。 你可以根據(jù)應(yīng)用程序的需要選擇其中的任何方法。
請(qǐng)求參數(shù)
你的應(yīng)用程序的 API 使用者可以將其令牌作為 api_token 查詢字符串值：
$response = $client->request('GET', '/api/user?api_token='.$token);請(qǐng)求負(fù)載
應(yīng)用程序的 API 使用者可以在請(qǐng)求的表單參數(shù)中以 api_token 的形式包含其 API 令牌：
$response = $client->request('POST', '/api/user', [
'headers' => [
'Accept' => 'application/json',
],
'form_params' => [
'api_token' => $token,
],
]);Bearer 令牌
應(yīng)用程序的 API 使用者可以在請(qǐng)求的 Authorization 頭中提供其 API 令牌作為 Bearer 令牌:
$response = $client->request('POST', '/api/user', [
'headers' => [
'Authorization' => 'Bearer '.$token,
'Accept' => 'application/json',
],
]);